De cyclus van een kwetsbaarheid: van ontdekking tot oplossing

Hoe ontstaan kwetsbaarheden?

Systemen zijn opgebouwd uit verschillende componenten: infrastructuur (servers), databases en applicaties (de website). Tegenwoordig zijn ook steeds meer machines aan het internet verbonden. Dit wordt Operationele Technologie (OT) genoemd. Al deze componenten worden aangestuurd door middel van software en programmeertalen.

Het gebeurt heel vaak dat er kwetsbare plekken worden gevonden in bestaande componenten. Dat is een foutje of onhandige configuratie die het mogelijk maakt om het systeem op een manier te gebruiken zoals het niet bedoeld is.

Hoe worden kwetsbaarheden gevonden?

Kwetsbaarheden worden in het gunstige geval gevonden door ethisch hackers, onderzoekers of andere mensen met goede bedoelingen. Helaas worden ze ook vaak gevonden door criminelen of statelijke actoren (persoon, groep of organisatie die namens een land, in opdracht van een overheid of met steun van een staat digitale activiteiten uitvoert).

Coordinated vulnerability disclosure (CVD)

Een lek dat nog niet bekend is bij de leverancier en/of waar geen oplossing voor is, noemen we een ‘Zero Day’. Als een goedwillend persoon een kwetsbaarheid vindt, wordt dit vaak gemeld aan de leverancier zodat die het probleem kan oplossen en een update kan ontwikkelen om het lek te dichten. Tot die tijd wordt het probleem meestal geheimgehouden, om te voorkomen dat er misbruik van het lek gemaakt wordt wanneer informatie in verkeerde handen valt. Deze werkwijze wordt een Coordinated vulnerability disclosure (CVD) genoemd.

Soms lekt een kwetsbaarheid met bijbehorende informatie toch uit, dat is wat er afgelopen week gebeurde met PHP. Dat verhoogde het risico op misbruik enorm. Als een kwaadwillende eenmaal weet waar een kwetsbaarheid zit, wordt het met behulp van AI steeds makkelijker een programma te schrijven om het lek te misbruiken.

Common Vulnerabilities and Exposures (CVE)

Kwetsbaarheden krijgen als ze bevestigd zijn een zogeheten CVE-nummer. Daarmee worden ze geregistreerd en is informatie over de kwetsbaarheid centraal terug te vinden. Denk aan wat het probleem is, wat je eraan moet doen en de ‘Common Vulnerability Scoring System’ (CVSS) score. Dit duidt de technische ernst van een lek aan op basis van een aantal factoren. Hiermee kunnen organisaties inschatten hoeveel gevaar ze lopen, al is dat niet de enige factor om mee te wegen. De kans en impact van misbruik op jouw specifieke organisatie is daarin ook heel belangrijk.

Waarom een update altijd snel moet

Wanneer een beveiligingsupdate (of zogeheten patch) wordt uitgebracht, is algemeen bekend dat er een kwetsbaarheid is. Daar zijn criminelen ook snel van op de hoogte, als ze dat al niet hadden ontdekt via andere wegen. Dat is de reden waarom we altijd snel willen updaten. De zwakke plek in je systeem kan dan namelijk razendsnel doelwit worden van misbruik. Ook als je denkt dat een crimineel bij jou niets te zoeken heeft. Ze zijn namelijk niet op zoek naar jouw spullen, maar scannen geautomatiseerd het hele internet af naar systemen die mogelijk deze zwakke plek hebben.

Een beveiligingsupdate is overigens niet altijd voldoende. Als een aanvaller vóór het installeren van de update al toegang tot je systeem heeft gekregen, blijft die toegang bestaan. Daarom is het bij ernstige kwetsbaarheden vaak ook nodig om te onderzoeken of er al misbruik heeft plaatsgevonden vóór de update. Lees in onze andere blog meer over wat er allemaal bij patchen komt kijken.

Wat als criminelen het lek als eerste vinden?

Dit gebeurt ook regelmatig. Wanneer een lek wel bekend is bij criminelen en niet bij de leverancier, kan er misbruik van worden gemaakt. Dat kan heel snel gebeuren, waardoor we aanvallen zien. Maar het kan ook zijn dat een lek heel lang ‘bewaard’ of zelfs verhandeld wordt om op een later moment uitgebreider misbruik van te maken of te combineren met andere kwetsbaarheden. In zo’n geval komen we er dus pas achter wanneer een lek actief misbruikt wordt, tenzij een goedwillende onderzoeker het lek óók vindt. Deze fases lopen regelmatig door elkaar heen.

Kunnen we kwetsbaarheden voorkomen?

Bij het (door)ontwikkelen van software komt het nu eenmaal voor dat er soms fouten ontstaan of zwakke plekken gecreëerd worden. Er zijn veel manieren om dit zoveel mogelijk te voorkomen:

• Door veilige praktijken te hanteren
• Door afhankelijkheden goed in kaart te brengen
• Door systemen goed te laten testen door middel van pentesten

Toch zal deze race tegen de klok met het vinden van kwetsbaarheden altijd blijven bestaan. Daarom is het delen van informatie zo belangrijk. Doordat organisaties delen wat er bij hen gebeurt, kunnen anderen zich beter beschermen. Er zijn diverse organisaties zoals het Nationaal Cyber Security Centrum die hier een centrale rol in spelen en informatie delen die van belang is voor het verhogen van je weerbaarheid. Houd updates van het NCSC dus altijd goed in de gaten. Zo weet je welke stappen je kunt zetten om je systemen te beschermen.

Heb je hulp nodig bij het beschermen van je systemen? Neem dan contact met ons op. Wij geloven erin dat cybersecurity voor iedereen duidelijk en toegankelijk kan zijn en helpen je graag verder!